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A kapcsolat elemei - 
3Com újdonságok 


Kerberos és társai - 
Secure Data 
Networking 3. 


A 3Com Corporation a 
hálózati eszközök egyik 
legismertebb fejlesztője 
és gyártója. Több tízezer 
3Com hálózat működik vi- 
lágszerte kormányhivata- 
lokban, egyetemeken, a 
hadiipar, és a gazdaság 
különböző területein. A 
hálózati eszköz gyártók 
közül a 3Com Corporation 
rendelkezik a legszéle- 
sebb termékskálával az 
ún. Global Data Network- 
ing megvalósításához. 


A hálózati aktív elemek ho- 
mogenitása sok előnyt hor- 
doz: nem kell az elemek kü- 
lönbözőségéből adódó in- 
kompatibilitással foglalkoz- 
ni, az eszközöket egységes 
szoftverfelületen lehet prog- 
ramozni, mely a rendszergaz- 
dák életét jelentősen meg- 
könnyíti. Nagyon fontos 
szempont, hogy az egységes 
hálózatmenedzsment az esz- 
közök összes paraméterét ké- 
pes kezelni, míg az inhomo- 
gén rendszerekben a szabvá- 
nyos felület használatával a 
gyártóspecifikus plusz ada- 
tok esetleg nem kezelhetők. A 
3Com routerek - mint ezt 
több egymástól független cég 
(Computerworld, Corporate 
Computing, Communicati- 
ons Week) által elvégzett 
tesztsorozat is bizonyítja — a 
legjobbak és tavaly az Év 
Internetworking Terméke ki- 
tüntető címet kapták. 


NetBuilder II Bridge/ 
Router újdonságok 


A multiprotokoll routolást 
végző NetBuilder II router 
70.000 pps teljesítménye a kö- 
zeljövőben kb. 250.000 pps-re 
növelhető. Ehhez a routert 
meg lehet tartani, csak a na- 
gyobb sebességet igénylő mo- 
dult kell cserélni. 

Hamarosan megjelenik a 3 
portos HSS modul RS-232 
interface-el (V.35 interface-el 
már jelenleg is elérhető). Egy 
ilyen modul 3 WAN csatlako- 
zási lehetőséget biztosít, így 
megtriplázza az egy router 
által kiszolgálható WAN kap- 
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HARDVER 


A 3Com új termékei 


csolatok számát. (Így a 8 mo- 
dulhelyes ház max. 24 WAN, 
a 4 modulhelyes max. 12 
WAN kapcsolatot képes fo- 
gadni.) A modul felhasználá- 
sa jelentősen csökkenti az egy 
WAN csatlakozás kialakítá- 
sának költségét. 


SuperStack rendszer 


A 3Com a 90-es évek elején 
kezdte meg tornyozható (an- 
golul stack) hub-család kiala- 
kítását, amelyekben a hub-ok 
ún. hub expansion kábellel 
egymáshoz csatlakoztatha- 
tók. A különböző hálózati kö- 
zeget támogató, bevált és ol- 
csó LinkBuilder FMS (Flexible 
Media Stack) hubok mellet 
megjelent a bridge és me- 
nedzsment modullal bővíthe- 
tő LinkBuilder FMS II család, 
mely lehetővé teszi 12 és 24 
portos 10BASE-T, egy 6 por- 
tos fiber modul és a 10 portos 
koaxos modul elhelyezését 
egy menedzselhető stack- 
ben. Az így összkepcsolt 4, sőt 
a LinkBuilder FMS II család- 
nál már 8 hub egy logikai 
repeater-ként vehető figye- 
lembe a hálózattervezésnél. A 
SuperStack hibatűrő képessé- 


and-play telepítésű boun- 
dary routerek közepes és 
kis telephelyek költségta- 
karékos kiszolgálását teszi 
lehetővé 1 LAN és 1 WAN 
kapacitásával. A boundary 
routing architektúrából 
adódóan a router a közpon- 
ti oldalon NetBuilder II 
bridge/router-hez kapcso- 
lódik, így minden olyan há- 
lózati protokollt támogat, 
melyet a NetBuilder II 
bridge/router. 

A biztonság és az elérhető- 
ség növelése érdekében au- 
tomatikus kapcsolt backup 
WAN porttal rendelkezik. 
A dinamikus sávszélesség- 
használat (bandwidth-on- 
demand) lehetővé teszi, 
hogy a WAN oldali kom- 
munikációs csatorna túlter- 
heltsége esetén a router a 
backup WAN portján is 
összeköttetést létesítsen, 
melyet a forgalmi csúcs 
megszűnésével automati- 
kusan megszüntet. Ezek 
mellett, a router a kapcsolt 
vonalon megvalósítandó 
WAN összeköttetéseket 
egy új, költségtakarékos 
dial-on-demand opcióval 
támogatja: azaz csak akkor 
építi fel a kapcsolatot, ha 


ge redundáns tápegységgel 
növelhető. 

A SuperStack építőelemei: 
NetBuilder Remote Office 221 és 
Remote Office 201 Boundary 
Router 

A NetBuilder Remote Offi- 

ce 221 mind önálló egység- 

ként, mind a 3Com Super- 

Stack elemeként üzemel- 

het, míg a Remote Office 

201 standalone boundary 

router. Az egyszerű plug- 


adatot kell rajta továbbíta- 
nia, ezt követően lebontja. 
A WAN csatlakozás költ- 
ség kímélését szolgálja az 
is, hogy az IPX forgalomra 
különböző szűrési feltétele- 
ket lehet beállítani. 

WAN oldalon bérelt össze- 
köttetések esetén a PPP pro- 
tokollt, kapcsolt összeköt- 
tetések esetén a dial, a 
frame relay és az X.25 pro- 
tokollok használatát támo- 


gatja. A pont-pont (PPP) 
összeköttetéseken teljes 
adattömörítést támogat; a 
csomagok fejrészét is tömö- 
ríti, nem csak az adatrészt. 
A router a beállított konfi- 
gurációt flash PROM-ban 
tárolja. 

NetBuilder Remote Office 222 

Router 
A Remote Office 222 router 
a közepestől az egészen 
nagy telephelyek költségta- 
karékos kiszolgálását teszi 
lehetővé. Mind önálló üzem- 
módban, mind a 3Com 
SuperStack rendszerében 
üzemelhet. A Remote 
Office Router család e tagja 
un. access router-ként ha- 
gyományos routolást végez 
TCP/IP, IPX és XNS proto- 
kollokra. Egyéb jellemzői 
megegyeznek a NetBuilder 
Remote Office 221 route- 
rével. 

NetBuilder Remote Office 227 

Router 
A SuperStack rendszer har- 
madik s egyben legtöbbet 
tudó router tagja a Remote 
Office 227, mely külön 
routerként is működhet 
TCP/IP, IPX, XNS, Apple- 
Talk, DECNet és VINES 
protokollokra. 

LinkBuilder FMS TR 
A SuperStack rendszerben 
12-260 Token Ring felhasz- 
náló csatlakoztatása válik 
lehetővé. 

LinkSwitch 
A LinkSwitch munkacso- 
port átkapcsoló hub 6 ether- 
net hálózat között végez 
nagy teljesítményű "kacso- 
lást". FDDI portján akár 
közvetlen nagy sebességgű 
csatlakozást biztosíthat 
FDDI interface-szel rendel- 
kező szerver felé, vagy 
nagy sebességű gerincháló- 
zat kialakítását teszi lehető- 
vé. 

LinkConverter 200 
Az eszköz SDLC-LLC2 kon- 
verzióval lehetővé teszi 
SNA forgalom routolt 
WAN hálózatba való integ- 
rálását. 

Redundáns Tápegység 
A redundáns tépegység 


(Folytatás a 7 . oldalon) 


TÁJOLÓ 


Reszkessetek betörők!!! 


Igen reszkessetek, mert 
ha minden az elképzelé- 
sek szerint halad, jövő év 
elejére kifejlesztésre ke- 
rül egy olyan "bűnügyi 
kommunikációs adatnyil- 
vántartó és áramoltató" 
rendszer modellje, mely 
megoldja a bűnüldöző 
szervek között az adatok 
oda-vissza áramoltatását, 
illetve bizonyos funkcio- 
nális rendszerek közös 
hozzáférhetőségét. A min- 
tarendszer alapját képezi 
egy egységes, integrált or- 
szágos rendszernek. 


Mindez nem fantáziálás, a 
nagy információs rendszer 
alapköveit már akkor elhe- 
lyezték, amikor a rendőrségi 
információs rendszer orszá- 
gos kiépítése érdekében ten- 
dert írt ki az ORFK. Hamaro- 
san meghatározták az ügyész- 
ségi információs rendszer fej- 
lesztési irányait is. A bűnül- 
dözési társszervek — az Or- 
szágos Rendőrfőkapitányság, 
valamint a Vám- és Pénzügy- 
őrség Országos Parancsnok- 
sága — illetékeseivel hóna- 
pok óta folytattak előkészítő 
tárgyalásokat, ahol kirajzoló- 
dott, hogy a bűnüldözés az a 
erület, amelynél a jogsza- 
bályok is lehetővé teszik és 
határozott előnyökkel is jár a 
három rendszer összekapcso- 
ódása. 

A fejlesztési feladatokhoz 
egy 16 munkaállomásból fel- 
épülő, UNIX alapú hálózat te- 
epítésére írtak ki meghívá- 
sos, zártkörű tendert, amelyre 
négy rendszerintegrátor aján- 
atát kérték be. A tender- 
győztes MONTANA egyelő- 
re egy fejlesztői és egy (a rend- 
szer funkcióit ügyészségi ol- 
dalon demonstráló) minta- 
rendszer telepítésére kapott 
megbízást. 

Novemberben. installálták 
is a Legfőbb Ügyészség Szá- 
mítóközpontjában azt a háló- 
zatot, amellyel a mintarend- 
szer, majd később a kiépíten- 
dő országos rendszer alkal- 
mazói szoftvereit fejlesztik. 

Mint Pusztainé Dr. Jakab 
Róza osztályvezető ügyész el- 
mondta, határozott és letisz- 
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tult elképzeléseik vannak 
mind a fejlesztendő rendszer 
formai és tartalmi elemeiről, 
mind az informatikai hálóza- 
tok kapcsolódási pontjaival 
szemben támasztott elvárá- 
sokról. 

A három rendszer kapcso- 
latának leggyorsabban hasz- 
nálható előnye, hogy az egyes 
bűnesetekről készült doku- 
mentumok (elkövető neve, 
bűncselekményi adatok, bűn- 
üldöző szervek intézkedései, 
stb.) azonnal hozzáférhetők a 
jogosultak számára. Az előre 
elkészített számítógépes irat- 
minták alkalmazása jelentő- 
sen csökkentheti az un. for- 
mai munkára fordított időt, 
többet hagyva a szakmai tevé- 
kenységre. A folyamatosan 
felépülő, részben a korábbi 


bűnügyek adataival feltöltött 
adatbázisok révén pedig 
mindhárom bűnüldöző szerv 
nemcsak meggyorsíthatja, de 
pontosabbá, egyszerűbbé is 
teheti munkáját. Egy betöré- 
ses lopás felderítésekor pél- 
dául az "elkövetés módja" 
adatbázis áttekintésével be- 
határolható lehet, hogy kik 
azok, akikre az aktuális eset- 
hez hasonló vagy azonos 
módszer használata jellemző. 

Áttekinthetőség, gyorsaság, 
precízség: ezt kapjuk az informa- 
tikai rendszertől, s állandó kap- 
csolatot tarthatunk fenn a bűnül- 
dözési társszervekkel — foglalta 
össze Pusztainé Dr. Jakab 
Róza. 

A Budakörnyéki Városi 
Ügyészségen építi ki a minta- 
rendszerta MONTANA, mely 


A Kedves Olvasó 


is bizonyára szomorúan tapasztalta az utóbbi években, hogy a csendes kis utcák 
földszinti balkonjait egyre több helyen csúfítják el ronda rácsok, hogy a lakótelepeken 


mekkora tülekedés 


folyik a lámpák alatti é; 


hálózaton azokat a szoftvere- 
ket futtatják majd, amelyek a 
már működő fejlesztői rend- 
szeren készültek. Ugyan- 
ekkor helyezik üzembe a Bu- 
daörsi Rendőrfőkapitányság 
informatikai rendszerét. A 
két szerv között az adatforga- 
lom vezetékes hálózaton fo- 
lyik, míg a Vám- és Pénzügy- 
őrség Pest megyei Nyomozó 
Hivatalával modemeken ke- 
resztül cserélnek majd adato- 
kat. 

A mintarendszer O.1 verzi- 
ója átadásának határideje feb- 
ruár 28. Márciustól tehát 
egyelőre Budaörsön , a saját 
bűnügyi információs rend- 
szerükre építkezve egységes, 
integrált kommunikációs 
rendszert használ majd a há- 
rom bűnüldöző szerv. 


éjszakai parkolóhelyért, hogy a postaládákban 


rendre kis szórólapok bukkannak fel a lakatosok jobbnál jobb hevederzár ajánlataival. Mi 
pedig tárcsázzuk, érdeklődünk és hívjuk őket, mert félünk és a félelemre megvan minden 


okunk. 


Félnivalója pers. 


kisebb-nagyobb cégeknek, vállalkoz 


hagyományőrző, pajsz 


ze akad a különböző állami és önkormányzati hivataloknak, bankoknak, 
soknak is. Nekik ráadásul nem csak az úgynevezett 
rral dolgozó betörőktől kell rettegniük, hanem a számítógépes háló- 


zatok adatbázisainak fosztogatóitól is. Az adatbázisokat ugyanis köztudottan éppen úgy fel 
lehet törni, mint a sötétben parkoló autókat vagy a cilinderzáras lakásokat, ezért biztonságos 
védelmük ma már legalább olyan fontos feladat, mint azoknak az előfeltéleteknek a megte- 
remtése, melyek az adatok betáplálását és gyors, az igényeknek megfelelő formában történő 
előhívhatóságát teszik lehetővé. 


A Montana Holdingon belül működő különböző Kft-k mind a két kihívásnak igyekeznek 
elébe menni. Az adatvédelem legmodernebb technikáinak telepítésével "kriptológusaink" 
foglalkoznak, a számítógépes hálózatok telepítésére kiírt különböző tendereken pedig cégünk 
évek óta igen eredményesen szerepel. Az a feladat, melynek megoldására most teljes 
megbízásokat, egyszerre jelent rendszerépítést és adatvédelmet: a Montana ugyanis r 
vesz annak az országos integrált informatikai hálózatnak a kiépítésében, amely lehetővé teszi 
a rendőrkapitányságok, a vám- és pénzügyőrségek, valamint az ügyészségek informatikai 
rendszereinek összekapcsolódását. A kapcsolat elsőként Pest megyében jön majd létre a jövő 
év vége felé, de minden remény megvan arra, hogy néhány éven belül az ország legtávolabbi 
pontjai is csatlakozhassanak e hatalmas informatikai hálózathoz. Akkor pedig, ha a rácsokat 
és a hevederzárakat nem is dobhatjuk nyogodt szívvel a fölöslegessé vált kacatok lomtárába, 
de a mainál majd minden esetre jóval nyugodtabban alhatunk. 


fess 


KRIPTOLÓGIA 


SECURE DATA NETWORKING 3. 


A biztonsági architektú- 
ra egy olyan teljes rend- 
szert próbál meg biztosíta- 
ni, amely segítségével szá- 
mos biztonsági szolgálta- 
tás (bizalmasság, integri- 
tás, hitelesítés, letagadha- 
tatlanság, stb.) egységesen 
használható; például eljá- 
rások és erőforrások meg- 
osztásával, vagy a szolgál- 
tatások egymás számára 
elérhetővé tételével. Ez az 
architektúra sok esetben 
alkalmazható: helyi vagy 
távoli terminállal használt 
hostalapú rendszer; háló- 
zaton keresztül egymással 
együttműködő, vagy egy- 
mást helyettesítő (pl. di- 
rectory service agent) al- 
kalmazások; LAN alapú 
rendszerek és LAN-ok kö- 
zötti kapcsolatok osztott 
szolgáltatásokkal, mint pl. 
fileszerverek; kommuni- 
kációs gateway-ek, bridge- 
ek vagy router-ek. 

A biztonsági architektúrák 
fogalma alatt a gyakorlatban 
általában a kulcs kiosztás és 
más engedélyezések, azono- 
sítások, személyeket és rend- 
szereket felhatalmazó attri- 
bútumok használatát értjük. 
Az egyéni biztonsági szerve- 
rek specifikus eljárásai és me- 
chanizmusai - még a szim- 
metrikus vagy aszimmetri- 
kus kulcsú kriptológia alkal- 
mazása is - gyakran nyitottak 
vagy opcionálisak. A követ- 
kezőkben néhány architektú- 
rát ismertetünk. 


Kerberos 


A Kerberost a Massachu- 
setts Institute of Technology 
fejlesztette ki, és mint a neve is 
sejteti, ez egy watchdog szol- 
gáltatás, amely a számítógé- 
pes rendszerekhez való hoz- 
záférést ellenőrzi. A védett 
rendszerhez a Kerberos enge- 
délyével lehet hozzáférni. Ha 
a jelentkezést jóváhagyták, a 
Kerberos kiad egy ,jegyet" a 
jelentkezőnek, ezzel válik le- 
hetővé számára a védett rend- 
szer használata. Az 1.ábrán 
látható rendszer a következő 
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lépésekkel írható le. 


1. A (C) ügyfél igénybe kíván- 
ja venni az (5) szolgáltatást. 
C egy közvetítőt-ügynököt 


Ügyfél (C) 


kapcsolat létesítésekor, és 
csak S használhatja vissza- 
hívásra, az ügyfél tábláza- 
tának verifikálására ... 


Ügynök 


Kérés 


Password 


Ks 


(pl munkaállomást, vagy 
PC-t) használ. C a Kerberos 
watchdog (W) -tól jegyet 
kér S-hez a C és S azonosító- 
ja, és az aktuális időpont (t) 
elküldésével. 


2. W válaszol, azaz elküldi a C 
és S által használandó egy- 
szeri kulcsot (K ), S azonosí- 
tóját és a jegy érvényességi 
idejét (L). Továbbá vissza- 
küldi (t)-t, és magát a jegyet. 
Mindent DES-sel rejtjelez a 
K , kulcsot használva; ez 
egy szimmetrikus titkos 
kulcs, melyen a Kerberos és 
az ügyfél osztoznak. A jegy 
hasonló információkat tar- 
talmaz, K ,-vel rejtjelezve, 
ahol ez utóbbi olyan szim- 
metrikus kulcs, amelyen a 
Kerberos és a használandó 
szolgáltatás osztoznak. A 
jegy -— E(K,;(K , C, S, time, 
C címe, L)), így csak S tudja 
olvasni a jegyet. C címét 
(azaz az ügynök hálózati cí- 
mét) a W határozza meg a 


v 


Validál Jegy 


C etc 


3. 


L, T, jegy) 


Felszólítás 


1.ábra 


C-nek meg kell oldania W 
válaszát, amit csak a K , is- 
meretében tehet meg. A fel- 
használó megadja a jelsza- 
vát(P), amiből egy one-way 
függvény segítségével ki- 
számítható a Lab kulcs; 
K, -f(P). Így a C ügynök - 
ami publikus területen lévő 
munkaállomás is lehet- 
nem kell, hogy tárolja a K , 
kulcsot, csak egyszer kell 
generálnia, ha szüksége 
van rá, és a kapcsolat után 
azonnal megsemmisíti. W 
válaszának megoldása 
után a C ügynök ellenőrzi 
az S és t helyességét (azaz 
azt, hogy a válasz és így a 
jegy is nem ismétlése-e egy 
korábbi kérésre érkezett vá- 
lasznak). C természetesen 
bízik abban, hogy W jó je- 
gyet küldött. C ügynöke 
tudja, hogy a válasz W-tól 
jött, hiszen meg tudja azt 
oldani. 


4. C ügynöke kapcsolatot léte- 


Kérés (C, S, t) 


E (Kcw, Ks, S, 


Rejtjelez ez E Megold 


kommunikációra ] 


sít S-sel és elküldi a jegyet. S 
megoldja, és érvényesíti 
(idő, L) azt, hiszen neki 
szánták, és C egyes adatait 


Kerberos (W) 


Ks etc 


Rejtjelez 


Szerver (5) 


Megold 


v 
Validál 


v 
v 


Validál 


Egész k? 


OK 


is tartalmazza. Így tudja, 
hogy a Kerberos kezeske- 
dik C-ért. S természetesen 
nem tudja, hogy C ügynöke 
küldte a jegyet. Lehetettegy 
csaló is, aki a hálózaton el- 
fogott egy jegyet és most 
megismételte azt. 


. Annak érdekében, hogy S 


megállapíthassa, hogy a 
jegy tényleg C-től és C ügy- 
nökétől érkezett, az ügynök 
küld egy azonosítót — E 
(K :(C, C címe;t)). S megold- 
ja ezt a jegy kapcsolatkul- 
csát használva, és megvizs- 
gálja (t ellenőrzésével, vala- 
mint C és C címének a je- 
gyen lévő értékkel történő 
összehasonlításával), hogy 
az azonosító C-től szárma- 
zik-e. C címe összehasonlít- 
ható a C és S közötti kapcso- 
lat létesítésekor kapott for- 
ráscímmel pl X.25 csomag- 
kapcsolt hálózat esetén. Et- 
től a ponttól kezdve a kap- 
csolat végéig a C és ügynö- 


ke egyazon személyként 
kezelhetők. 


6.S és C most már biztonságo- 
san kommunikálhat a K 
kulcs segítségével rejtjelez- 
ve vagy üzeneteket hitele- 


Személy so 


sítve. C azért bízik abban, 
hogy S hiteles, és nem egy 
csaló, mert bízik W-ben.S a 
K-t csak W-tól kaphatta 
meg K,-vel rejtjelezve; és 
K -tcsakazSés a C birtokol- 
ja. Így a kölcsönös hitelesí- 
tésnek még egy indirekt 
módja is létezik. 


Elképzelhető, hogy C több 
különböző szerverhez is sze- 
retne hozzáférni amíg az ügy- 
nököt használja, és esetleg 
több kapcsolatot kíván egyi- 
dejűleg aktívan fenntartani. A 
jegy egyszerű mechanizmusa 
(az L érvényességi idővel) 
egyértelműen lehetővé teszi 
ezt, hiszen C újra be tudja 
mutatni a még érvényes je- 
gyet, vagy újraérvényesíttetni 
azt, ha akarja. Ezt C a Kerberos 
jegy engedélyező segítségé- 
vel egyszerűen megteheti. 
Ebben az esetben az iniciali- 
záló hozzáférést a Kerberos- 
hoz úgy tekinthetjük, mint a 
kulcs kiosztó szervízhez tör- 
ténő fordulást, ami az ügyfél- 
nek jegyet és egyszeri kulcsot 
ad a jegy engedélyezőhöz. 

Ha az ügyfél a Kerberos 
jegy engedélyezőhöz jegyért 
vagy más szolgáltatásért 
többször kíván hozzáférni a 
jegy érvényességi ideje alatt, 
megteheti, a jelszó (P) meg- 
adása nem szükséges minden 
alkalommal. 


A Kerberos célja, hogy biz- 
tosítsa, hogy a szerveren futó 
alkalmazás meg legyen győ- 
ződve a hozzáforduló ügyfél 
azonosságáról, még abban az 
esetben is, ha az ügyfél egy 
olyan nembiztonságos termi- 
nálon dolgozik, mint pl. egy 
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nyilvános munkaállomás. 

A Kerberos nem specifikál 
hitelesítő attribútumokat, bár 
a szerver megállapíthatja eze- 
ket az ügyfél azonosítójából. 

A Kerberos nem szabja 
meg, hogy K-t hogyan hasz- 
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Szponzor 


BK — Alap-kulcs 


resen hitelesíti az igazolást (és 
más adatokat), akkor biztos, 
hogy az igazolásban azonosí- 
tott személytől, és a személy- 
nek attól a szponzorától jött, 
amelyre a személy az alap- 
kulcsot rábízta. 


— ——— 
(múvelet/adat, igazolás) ax 


( )sx 7 BK által lepecsételve 


náljuk hitelesítés után, bár al- 
kalmas lenne adat eredet hite- 
lesítési és integritási szolgál- 
tatások támogatására. Így a 
Kerberos mint architektúra 
egy tökéletesen hitelesített in- 
teraktív kapcsolat létrehozá- 
sának első lépésére korlátozó- 
dik. Alapja a szimmetrikus 
kulcsú DES. 


SESAME 


A SESAME (Secure Euro- 
pean System for Application 
in a Multivendor Environ- 
ment) olyan európai project, 
amelynek célja az ECMA 
(European Computer Manu- 
facturers" Association) TR/46 
és 128 nevű projectek részlete- 
inek kidolgozása és kereske- 
delmi forgalmú termékek lét- 
rehozása. 

A SESAME-ban a személy 
szponzora (vagy felhasználói 
ügynök) az ,igazolások"-at 
kommunikációs csatornán, 
vagy hálózaton keresztül kül- 
di el a cél-alkalmazásokhoz 
(továbbiakban cél), hogy a 
(felhasználó) megkapja. Az 
igazolás olyan információkat 
tartalmaz a személyről, mint 
az azonosítója és személyi att- 
ribútumok, amelyeket egy bi- 
zalommal felruházott igazo- 
lás kibocsátó pecsétel le, vagy 
ír alá. Az igazolást hozzácsa- 
tolják a többi adathoz és/ 
vagy parancsokhoz és egy 
alap-kulccsal lepecsételik, 
mielőtt a szponzor elküldi. Az 
alap-kulcsot egy kulcselosztó 
szolgálat (KDS) állítja elő eh- 
hez a személy-cél kapcsolat- 
hoz, ezáltal, ha a célpont sike- 


2.ábra 


Kétféle igazolás létezik: hi- 
telesítő igazolás (AUC) és sze- 
mélyi attribútumok igazolása 
(PACO). Az AUC-t egy hitelesí- 
tő szerver (AS) állítja ki egy 
sikeres partnerhitelesítés 
után. Az AUC egy meghatá- 
rozott időtartamig érvényes, 
alapvetően a személy azono- 
sítóját és a szponzor adatait 
tartalmazza, és a szerver alá- 
írja vagy lepecsételi. Az AUC 
célja, hogy engedélyezze a 
személy számára a PAC meg- 
szerzését egy személyi attri- 
bútum kiadó szervertől (PA9S). 

A PAC-t a PAS aláírja, és 
alapvető információként az 
egyén személyi attribútumait 
tartalmazza (,hozzáférhet a 
titkos információkhoz", ,a 
19-es csoporton belül dolgo- 
zik", .... A PAC tartalmaz 
más információt is: érvényes- 
ségi időt és a személy azonosí- 
tóját. Az AUC és PAC tartal- 
mazzák a saját azonosítóju- 
kat, ami hitelesítőként hasz- 
nálható ellenőrzéskor. Az ér- 
vényességi-idő ellenőrzés 
nemcsak az idő érvényessé- 
gét ellenőrzi, hanem egy 
, fehasználás számlálót" is 
tartalmaz, ami az egyes célok 
számára lehetővé teszi ugyan- 
azon igazolás ismételt fel- 
használásának a visszautasí- 
tását. Az igazolásrendszer 
egyszerű vázlata a 3.ábrán lát- 
ható. 

Az AS és PAS a 3.ábrán kü- 
lön szerverként szerepel. Egy 
másik lehetséges megoldás az 
AS és PAS kombinálása. A 
szponzor sikeres hitelesítése 
esetén a szerver (az AUC elha- 
gyásával) közvetlenül a PAC- 


ot állítja ki. 


A SESAME szélesebb terü- 
letet céloz meg, mint a Kerbe- 
ros. Ennek illusztrálására két 
példát mutatunk be: egyéni 
attribútum és helyettesítés. 


Cél 


Személyi attribútumot 
használhat a felhasználó/ 
személy és az alkalmazás is. 
Eltérően a Kerberos-tól, a 
PAC nem engedélyez hozzá- 
férést a speciális célhoz; he- 
lyette megállapítja a személy 
kategóriáját, intézményi tag- 
ságát, szervezeti pozícióját, 
aláírási jogát stb. Ezek a cél 
számára lehetővé teszik, hogy 
eldöntse, ezek az attribútu- 
mok illenek-e a sajátjaihoz; ez 
meghatározhatja a különböző 
kategóriájú személyek szá- 
mára a célszervíz elérhetőségi 
idejét, és az aláírás elfogadá- 
sának számos típusát. Ez a 
megközelítés nagyon rugal- 
mas. 

A SESAME biztosítja a he- 
lyettesítés vagy , delegálás" 
lehetőségét. A cél tevékeny- 
kedhet megbízottként és hasz- 
nálhatja az igazolást további 
célok eléréséhez a személy 
vagy szponzora számára. Ez 
elosztott hálózatok esetén 
alapkövetelmény. Az első cél 
továbbadja a következőnek a 
személy igazolásását, hiszen 
a végső cél is szeretné tudni a 
személy attribútumait. Az 
igazolások továbbadása azon- 
ban számos csalásra ad lehe- 
tőséget. A cél működhet a sa- 
ját érdekében valaki mást he- 
lyettesítve, felhasználva az 
igazolás valódi tulajdonosá- 
nak aláírását és jogait. 

Normál SESAME igazolá- 
sok nem használhatók helyet- 
tesítésre, mivel tartalmaznak 
egy , S5-ID7-t, amit a cél csak 
abban az esetben tud elfogad- 
ni, ha az a szponzor-cél alap- 


(folyatás a 6. oldalon) 


(folytatás az 5. oldalról) 


kulccsal van rejtjelezve. Ha a 
cél helyettesíteni szeretné a 
személyt, akkor a cél-cél kap- 
csolathoz új alapkulcsot kell 
kérnie a KDS-től, így az új SS- 
ID nem egyezhet meg az ere- 
detivel. Az SS-ID lehet a 
szponzor azonosítója, vagy 
egy egyedi véletlen szám is. 
Ha a személyek szeretnék, 
hogy a célok képviseljék őket, 
akkor a SESAME ezt mégis 
megengedi. Ez a célok egy 
úgynevezett ,megbízható 
csoportján" belül lehetséges, 
a célok a csoporton belül kép- 
viselhetik egymást, de azon 
kívül nem. A mechanizmus 
tartalmaz az igazolásban egy 
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A jegy/igazolás a következő 
szándékokat szolgálja. 

A Kerberosban a jegy enge- 
délyezi egy felhasználó (ügy- 
fél) hozzáférését egy alkalma- 
záshoz (szerverhez). Ez tar- 
talmazza a kapcsolatkulcsot. 
Általában minden kapcsolat 
számára új jegy szükséges. A 
jegyek nem nyilvánosak. 

A SESAME- ban az igazolás 
azonosítja a felhasználó 
(egyén) attribútumait. A 
SESAME igazolások hosszabb 
életűek és szélesebb hatáskö- 
rűek lehetnek, mint a Kerberos 
jegyek, de valójában rövid 
idejűek (egy kapcsolatra vo- 
natkoznak) és nem a nyilvá- 
nosság számára elérhetőnek 
szánják. 


Személy Szponzor 


Password 
FEnYTNN 


3. ábra 


megbízható csoportazonosí- 
tót és egy , védelmi értéket". 
A védelmi érték a kezdetben 
kizárólag a személy által is- 
mert kontroll értékből kapha- 
tó meg egy one-way függ- 
vény segítségével. A személy, 
ha szeretné, hogy helyettesít- 
sék, ezt a kontroll értéket kül- 
di el rejtjelezve a célnak, aki 
azt megoldva és a one-way 
függvényt használva megha- 
tározza és érvényesíti a védel- 
mi értéket. A második és to- 
vábbi célok akkor tudnak el- 
fogadni igazolásokat, ha azok 
a helyes kontroll értékkel van- 
nak kombinálva. 


Architektúrák 
összehasonlítása 


Érdemes lehet összehason- 
lítani a Kerberost, a SESAME- 
t és az X.509 aszimmetrikus 
kriptográfiai megközelítést. 
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Hitelesítés és 
AUC kiállítás l 
AUC bemutatás és ] 
PAC kiállítás 
PAC bemutatás és ál 


—— op Cé 
akciókérés 


Az X.509-ben az igazolások 
a felhasználó nyilvános kul- 
csa érvényességének a nyilvá- 
nosság számára elérhető bi- 
zonyítékai. 

Egy alkalmazásba (szerver/ 
célpont) történő belépés biz- 
tonsága a következők szerint 
biztosított: 

A Kerberosban az ügyfelet 
a jegy tulajdonosaként azono- 
sítják egy kapcsolatkulccsal 
rejtjelzett igazolás segítségé- 
vel. A következő parancsok 
hasonlóképpen rejtjelezhető- 
ek, vagy a kapcsolat feltétele- 
zett integritására hagyatkoz- 
hatnak. 

A SESAME- ban az egyént 
az engedélyezés rejtjelzése ál- 
tal az engedélyezés tulajdo- 
nosaként úgy azonosítják, 
hogy az igazolást és a hozzá- 
férési parancsokat egy alap- 
kulccsal rejtjelzik. Az alap- 
kulcsot egy meglehetősen 
komplex eljárással hozzák 


létre és az SS-ID-hez csatolják. 

Az X.509-ben a parancsokat 
a felhasználó a titkos kulcsá- 
val írhatja alá. Alternatíva- 
ként: csak a belépési kérelmet 
írják alá, és a rákövetkező pa- 
rancsok a kapcsolat feltétele- 
zett integritására hagyatkoz- 
hatnak. 


Egyéb biztonsági 
architektúrák 


A Kerberos, a SESAME és 
az X.509 fontossága abban 
nyilvánul meg, hogy ezek egy 
szabványosított biztonsági 
architektúra fejlesztéséhez já- 
rulnak hozzá. Egy ilyen archi- 
tektúra lehetővé teszi, hogy a 


AS 


különböző gyártóktól szár- 
mazó különböző rendszerek 
az OSI elvei szerint biztonsá- 
gosan érintkezhessenek. 

A Kerberosnak jelentős ha- 
tása van az elosztott számítás- 
technikai környezet (DCE) 
biztonsági szempontjaira. Lé- 
teznek javaslatok a jelenlegi 
DCE biztonsági tulajdonsá- 
gainak kiterjesztésére, mely 
ötleteket és eljárásokat tartal- 
mazna a SESAME-ból. Az 
X.509, amely még nyilvánva- 
lóbban az aszimmetrikus kul- 
csú rejtjelzésen alapul, szin- 
tén közreműködő. Ebben az 
összefüggésben érdekes az, 
hogy a Digital Eguipment-nél 
a nyilvános kulcsú igazoláso- 
kon alapuló javaslatokat ré- 
szesítették előnyben. 

Más szabadalmaztatott biz- 
tonsági architektúra is létezik, 
úgy, mint speciális csopor- 
tokra vagy intézményekre ki- 
fejlesztett architektúrák. Pél- 


dául az IBM-nek van egy 
olyan átfogó egyszerű krip- 
tográfiai architektúrája, amely 
nagyrészt a DES algoritmu- 
son alapul, és tartalmazza a 
bizalmasság valamint a hite- 
lesség szokásos funkcióit. 

Ez az architektúra számos 
rendszerben került imple- 
mentálásra, software kompo- 
nenseket éppúgy tartalmaz 
(standard kriptográfiai alkal- 
mazói programozható inter- 
face (APD), mint hardware 
komponenseket (az IBM 4753 
biztonsági hálózati pro- 
cesszor, a 4754 biztonsági 
interface-egység, a 4755 krip- 
tografikus adaptor és az IBM 
személyi biztonsági kártya). 
Az IBM mostanában javasolt 
egy új, a Kerberoshoz kap- 
csolodó architektúrát , Krypto 
Knight" néven. Más gyártók- 
nak is vannak hasonló termé- 
keik, amelyeket beépíthetnek 
a saját architektúráikba. 

Végül egy speciális felhasz- 
nálói csoport számára kifej- 
lesztett architektúra példája- 
ként megemlíthetjük a NATO 
OSI biztonsági architektúrát 
(NOSA), amely az OSI hétré- 
tegű modell biztonsági feltét- 
eleit határozza meg, és a hoz- 
zá kapcsolódó US OSD , plus" 
programot, amely nyilvános 
kulcsú rejtjelzésen alapul. 


Rönkös Judit 
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maximum 4, egy stackben 
levő eszköz tartalék táp- 
egységeként működik. 


Mobil felhasználók 
kapcsolt vonalon 


Az AccessBuilder Remote 
Access Server az egyik leg- 
újabb eszköz, mely lehetővé 
teszi a WAN hálózat elérését 
kapcsolt vagy bérelt vonalon, 
modemen, ISDN terminál 
adapteren vagy kapcsolt 56 
DSU-n keresztül távoli egye- 
di PC-k felhasználói számára, 
vagy mobil PC-k felhasználói 
számára, illetve alkalmas két 
LAN összekapcsolására is, 
akár több párhuzamos, ala- 
csony sebességű vonalon is. 

Maximum 16 aszinkron, 
egyenként 1152 Kbps sebes- 
ségű dial-up portot, vagy ma- 
ximum 2 szinkron 2048 Mbps 
portot képes kezelni. LAN ol- 
dalon Ethernet vagy Token 
Ring hálózatra kapcsolódhat. 

Amennyiben a hálózat fej- 
lődése további dial-up lehető- 
séget kíván, a feladat egysze- 
rűen megoldható egy újabb 
AccessBuilder üzembe helye- 
zésével. 


Nem ez a cím nem vala- 


milyen betűrejtvény, ha- 
nem annak a ténynek a rö- 
vid összefoglalása, hogy a 
DTP két nagyhatalma, az 
Adobe és az Aldus nyár óta 
egy cég és a két névből ha- 
marosan valószínűleg csak 
egy, az Adobe marad meg. 
A termékek ugyan egyelő- 
re még a régi nevükön fut- 
nak, de például az egykori 
Aldus Magazine képen lát- 
ható új számának fejléce 
már Adobe-ra változott és 
csak egy kisbetús felirat 
utal a korábbi névre. 


Az Aldusnak az egyesülés- 
be bevitt "gyerekei" közül 


Az eszköz az IP és IPX for- 
galom routolására képes, míg 
az AppleTalk, DECnet, XNS, 
NetBIOS, VINES és egyéb 
IEEE 802.3 protokollokat 
bridge-eli. 

A hálózati szervereket és 
adatokat az illetéktelen beha- 
tolástól az AccessBuilder 6 
szintű védelmi rendszere 
óvja. (Jelszó védelem, auto- 
matikus visszahívás, kódolás, 
stb.) Az illetéktelen behatolá- 
si kísérleteket az Access- 
Builder naplózza és jelenti a 
menedzsment állomásnak. 


Transcend 
Management 


A 3Com Corporation mo- 
duláris, un. Transcend Mana- 
gement rendszere egységes, 
grafikus felületen lehetővé teszi 
a hálózat menedzselését, — be- 
leértve az eszközök konfigu- 
rálását, a hibaanalízist, a nap- 
lózást — a PC-kben lévő 3Com 
hálózati csatolóktól, a LAN- 
ok HUB-jain keresztül a 
WAN-hálózatig. Az un. Re- 
mote Network Monitoring 
(RMON) költséges analizáto- 
rok használata nélkül lehető- 
vé teszi a gyors hibafeltárást. 
Automatikus — discovery, 


egyelőre a PageMaker sorsa 
tűnik a legbiztosabbnak (ilyen 
program eddig teljesen hi- 
ányzott az Adobe palettájá- 
ról), így most néhány olyan 
kiegészítő alkalmazást sze- 
retnénk bemutatni, amelyek 
az eddiginél is könnyebbé te- 
hetik a vele való munkát. 


Már elválik 


Először is lássuk a már ré- 
gen várt magyar elválasztó 
programot. A MorphoLogic 
fejlesztői szokásukhoz híven 
most is magasra tették a mér- 
cét, ezúttal olyan magasra, 
hogy a PageMaker nem is 
tudja mindig átugrani. A "He- 
lyesel" gond nélkül telepíthe- 
tő, gyorsan és szinte észrevét- 
lenül dolgozik, szóval ideális 
lenne, ha... Ha a PageMaker is 
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topology mapping, event 
logging, és performance mo- 
nitoring funkciókkal rendel- 
kezik. 

A Transcend management 
rendszer moduljai a IBM 
NetView/6000, a SunNet, a 
HP OpenView, az MS Win- 
dows, az O0S/2, később a 
Novell NMS rendszerek alatt 
működnek. 

Transcend Network Mana- 
gement For Windows 

A már korábban megjelen- 

tetett, Windows környezet- 

re készült, LinkBuilder 

FMS készülékek mene- 

dzselésére képes program 

továbbfejlesztéseként meg- 
jelent a Transcend Work- 

Group Manager for Win- 

dows program, illetve már 

jelenleg is elérhető az iga- 
zán figyelemre méltó 

Transcend Enterprise Ma- 

nager for Windows prog- 

ramcsomag. 
Transcend WorkGroup Mana- 
ger for Windows 

Ez az első olyan Windows- 

os munkacsoportok (nem 

nagyhálózatok) számára 
készült SNMP menedzs- 
ment alkalmazás, amely le- 
hetővé teszi mind a hub-ok 
portjainak mindpedig az 
adaptereknek egy rend- 
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tudná, amit ő tud. Mert bár a 
szoftver algoritmusa képes 
lenne a hosszú kettős mással- 
hangzók (ssz, nny, stb.) betű- 
betoldásos elválasztására, ezt 
a PageMaker még nem tudja 
fogadni. Az Aldus fejlesztői 
ígérik, hogy a következő vál- 
tozat már miránk, szegény 
magyarokra is tekintettel lesz. 
A Mac-eseknek rossz hír, hogy 
az elválasztó program az ő gé- 
pükre egyelőre nem kapható 


Végy egy adatbázist... 


Ha van egy adatbázisunk, 
akkor annak tördelése eddig a 
PageMakerrel elég nehéz fel- 
adat volt, mivel nem volt 
olyan egyszerűen működő 
tördelési lehetőség, amellyel 
az adatbázis mezőneveihez 
lehetett volna formázási uta- 


szerben történő figyelését. 

Ez a port-to-adapter adat- 

kapcsolat lehetővé teszi a 

gyorsabb hibakeresést. Ké- 

pes önállóan megkeresni az 
összes SNMP eszközt a há- 
lózatban, és ezeket grafikus 
képernyőn jeleníti meg. Az 
eszköz állapota a képer- 
nyőről a kódolt színek 
használatának köszönhető- 
en azonnal leolvasható. 
Transcend Enterprise Manager 
for Windows 

Ez a program az előzőtől 

eltérően kezeli az összes át- 

viteli rendszert egy vállalati 
hálózati infrasruktúrában. 

(workgroup, backbone, 

WAN). Kezeli az összes 

3Com Ethernet adaptert, az 

Ethernet és Token Ring 

hubokat, a NETBuilder II-t, 

és már az egyik legújabb 

terméket, a NETBuilder 

Remote Office-t is. 

A program teljesen SNMP 
kompatibilis, így képes kezel- 
ni más gyártók SNMP eszkö- 
zeitis. A discovery során felis- 
meri az összes 3Com eszközt, 
a NetWare, VINES, és LAN 
Manager szervereket, illetve a 
NetWare vagy az NDIS kom- 
patibilis adaptereket. 


dr. Zsótér Antal, 
Gínál Gabriella 


sításokat rendelni. Most vi- 
szont megjelent az Info Pub- 
lisher Database Addition, 
amellyel egyszerűen készít- 
hetők katalógusok, árlisták. A 
program egy táblázatkezelő- 
höz hasonló grafikus felületet 
kínál a felhasználónak és a 
kész, formázott adatbázist 
közvetlenül helyezi át a Page- 
Makerbe. 


Nagyon hiányzott a prog- 
ramból egy igazítási modul, 
amellyel az egyes elemeket 
lehetett volna egymáshoz ké- 
pest elrendezni. A Zephyr 
SmartAlign programja a 
Corel felhasználóknak meg- 
szokott lehetőségeket nyújtja, 
még további szolgáltatások- 
kal kibővítve. 
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Honnan kapta a nevét a 
Kerberos biztonsági archi- 
tektúra? A választ a függő- 
leges 2., a vízszintes 19. és 
a függőleges 12. sorokban 
rejtettük el. 


Vízszintes 


1.Savanyítószer. 19. A meg- 
fejtendő második része. 23. 
Fenséges németül. 24. Indu- 
lásra készen. 26. Ottlik Iskolá- 
jának sokatmondó mással- 
hangzói. 27. Becézett Nán- 
dort. 29. Előkelő léte. 30. Há- 
rom spanyol autó. 31 A Bala- 
ton ilyen. 32. Magyarország 
rövidítve. 33. Jim eleje! 34. 
Selypes édesanya!. 35. Rönt- 
gensugár! 36. Ínycsiklandó. 
39. Híres magyar grafikus 
(Endre). 42. Állatlak. 43. 
..ferbivaly. 44. Kiruccanása- 
im. 46. Ritka férfinév. 48 
Lötty. 49. Becézett női név. 50 
Néma Séd!. 51. Elélendül. 52. 
Ravasz fickó. 54. Művészet. 
55. Vigyázója. 57. A volt Szov- 
jetunió volt autóinak volt jele. 
59."A" súly. 60. FordítGATT!. 
62. Bíró Ferenc. 64. Több bi- 
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zánci császár neve. 67. Moz- 
dulatlanul. 70. Francia arany. 
71. Csatorna is, ivólé is van 
ilyen. 72. Disznó háza. 73. 
Oszkár végzett vele. 77. Na itt 
ellentéte. 79. Édesapa láng- 
esze. 80. Csípte. 82. Gézsé! 83. 
Német vörös. 85. Amerikai 
színész, rendező (Anthony). 
87. ..itikum (csiszolt kőkor- 
szak). 88 Zeusz tehene, fordít- 
va. 89. Felvidéki városból 
való. 92. Nem férfi. 93. Nem 
azon. 95. Japán játék. 


Függőleges 


1. Átmeneti. 2. A megfejten- 
dő első része, zárt betűk: S, Z, 
K, S, E, R. 3. Kevert hej! 4. 
Kemény fá ... i a fejszéjét, for- 
dítva. 5. Argentína fővárosa. 
6. Tűzhányó. 7. Kettős más- 
salhangzó. 8. Angol hossz- 
mérték. 9. ... kedvezőek, olcsó 
vagyok. 10. Cafrangos. 11. 
Romániai folyó. 12. A megfej- 
tendő harmadik része. 13. Szi- 
getcsoport. 14. Becézett IZza- 
bellát, fordítva. 15. Műanyag 
kötőelem. 16. Kirúgja a lab- 


dát. 17. Ikon. 18. Vau-vauzna. 
20. Körülbelül. 21. Becézett li- 
monádé. 22. Osztrák sze- 
cessziós építész (Adolf). 25. 
Angol katonai kantin. 28. 
Daloskedvű. 31. Tout jeune 
kiejtve. 36. Gyomnövény. 37. 
Dupla mássalhangzó. 38. A 
20. század pestise. 40 Dalmá- 
ciai ebédajánlat. 41. Buddhiz- 
mus is van ilyen. 45. Fekete 
István gyermekhőse. 47. 
Locomotív GT. 48. Függ. 52. 
Ide terelik a marhákat. 53. Hal 
is van ilyen. 56. Kötőszó. 58. 
Új Magyar Zenei Egyesület. 
61. Magyar származású szob- 
rász (Amerigo) 63. Nem tárgy 
és nem személy. 65. ... Roid. 
66. Testtartás fordítva. 68. Ke- 
verve lepi! 69. Becézett Ilona 
fordítva. 71. Angol feleség. 74. 
Népies fiatal fickó. 75. "Te" 
asszony. 76. Kanta. 78. Királyi 
szék. 79. Apa. 81. Afrikai ál- 
lam. 84. ... korban éltem én e 
Földön. 86. Népies szív. 89. A 
nagy varázsló, fordítva. 90. 
Ebben a funkcióban felülír a 
Word. 91. Szintén. 94. Indu- 
latszó. 


A megfejtés beküldendő 
a Montana Marketing Kft. 
címére: 1361 Budapest, Pf. 
501. Beküldési határidő: 
1995. január 31. A helyes 
megfejtők között ajándék- 
csomagokat sorsolunk ki. 


Viszontlátásra 
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